Registrazione presso l'autorità di vigilanza: come funziona?
Chi rientra nella direttiva NIS2 come entità critica o importante deve registrarsi presso l'autorità di vigilanza nazionale. Questa registrazione avviene tramite un portale messo a disposizione dall'autorità, con dati sulla vostra organizzazione, i vostri contatti e i servizi che fornite. Non riceverete una lettera che vi lo ricorda: l'obbligo di registrazione grava sull'organizzazione stessa, non sull'autorità di vigilanza che deve trovarvi.
Questo ultimo aspetto sorprende molti direttori. Con altri obblighi — una licenza, una dichiarazione annuale — ricevete spesso un segnale dall'ente stesso. Con l'obbligo di registrazione secondo la legge sulla sicurezza informatica funziona al contrario: l'autorità di vigilanza inizialmente non sa quali organizzazioni rientrano nella legge, e dipende quindi dalla vostra stessa valutazione e azione.
Quali dati vengono richiesti
La registrazione richiede solitamente dati identificativi dell'organizzazione, come il nome, il numero di iscrizione al registro delle imprese e l'indirizzo, integrati con il settore e l'attività per cui rientrate nella legge. Inoltre, viene richiesto uno o più contatti che l'autorità di vigilanza può raggiungere, con nome, numero di telefono e indirizzo e-mail — spesso si tratta di persone diverse da quelle di contatto aziendali ordinarie, perché si tratta di reperibilità in caso di incidente. Anche i sistemi di rete e informazione o i servizi rilevanti per la qualificazione come entità critica o importante, e talvolta gli Stati membri in cui fornite servizi, fanno parte dell'immagine che l'autorità di vigilanza vuole ottenere.
I campi esatti e la struttura del modulo variano da paese a paese, perché ogni Stato membro trasforma la direttiva nella propria legislazione nazionale e l'autorità di vigilanza stessa gestisce il portale. Ciò che viene chiesto nei Paesi Bassi non deve corrispondere quindi uno-a-uno a ciò che un'autorità di vigilanza chiede a una filiale in un altro paese.
Perché non arriva una lettera
L'obbligo di registrazione è configurato come un obbligo dell'organizzazione, non come un invito da parte dello Stato. L'autorità di vigilanza non dispone all'inizio della legge di un elenco esaustivo di chi è attivo dove e sotto quale soglia rientra — queste informazioni devono provenire dal settore stesso. È simile a come funziona l'iscrizione al registro delle imprese o una dichiarazione IVA: la responsabilità di agire tempestivamente grava sull'imprenditore, anche se nessuno invia un promemoria.
Per molte piccole e medie imprese colpite attraverso la catena di approvvigionamento, questo comunque non è rilevante: solo le entità critiche e importanti stesse hanno un obbligo di registrazione. Le aziende che ricevono solo un questionario sulla sicurezza da un cliente che rientra nella legge non si registrano presso l'autorità di vigilanza. Se la vostra organizzazione rientra nel primo o nel secondo gruppo non è sempre immediatamente chiaro; in poche domande si vede dove si trova la vostra organizzazione fornisce una prima indicazione al riguardo, con una spiegazione per ogni risultato.
Quando registrarsi
La legge nazionale stabilisce entro quale termine e da quale momento un'organizzazione deve registrarsi dopo aver acquisito la qualifica di entità critica o importante. Questi termini sono contenuti nella trasposizione nazionale della direttiva e sul sito web dell'autorità di vigilanza stessa, e possono cambiare man mano che la legislazione viene ulteriormente sviluppata. Per lo stato attuale dovete rivolgervi all'autorità di vigilanza competente o a un giurista, non a un articolo generale — una modifica del sito o un annuncio dell'autorità di vigilanza è in questo punto decisivo, non una data archiviata da qualche parte.
Cosa secria.eu fa e non fa in merito alla registrazione
La piattaforma aiuta nella preparazione del testo e dei dati necessari per compilare il modulo di registrazione: quali persone di contatto deve fornire, quale descrizione del settore e dell'attività corrisponde al modo in cui l'autorità di vigilanza categorizza, e quale documentazione supporta la qualificazione. Ciò che non fa esplicitamente è presentare la domanda per suo conto. Lei presenta la domanda personalmente al portale della sua autorità di vigilanza nazionale; secria.eu prepara il testo, lei lo carica. Come avviene esattamente questa preparazione e quali fonti vengono utilizzate è illustrato su la pagina su come vengono generati i dati.
Dubbi sulla propria situazione
Se e quando la registrazione è necessaria per la sua organizzazione dipende dal settore in cui opera, dalla dimensione della sua organizzazione e dalla normativa nazionale che le si applica. Non è una domanda a cui un singolo articolo generale può rispondere per la sua situazione specifica; per questo l'autorità di vigilanza competente o un avvocato sono il punto di contatto appropriato. Le domande pratiche frequenti sulla registrazione, l'obbligo di notifica e il ruolo dei fornitori sono raccolte su la pagina delle domande frequenti.
Vuole prima una panoramica di tutti gli argomenti relativi alla Direttiva NIS2 e alla Legge sulla cibersicurezza, dalla classificazione dei settori alle dieci misure di gestione del rischio? Li trova, selezionati per la sua situazione, su la pagina di panoramica con tutti gli argomenti. E se non sa ancora se la registrazione è necessaria per lei, la scansione rapida gratuita è il primo passo più veloce per avere una visione chiara.